« Maintenance WordPress » : derrière ce terme, chaque prestataire met un périmètre
différent — de la simple mise à jour automatique à la véritable infogérance. Résultat, difficile de
comparer les offres, et encore plus difficile de savoir ce dont votre site a réellement besoin. Ce
guide pose les bases : ce que recouvre (ou devrait recouvrir) une maintenance sérieuse, à quelle
fréquence, et ce que le marché facture en 2026.
Pourquoi un site « fini » n’est jamais fini
Un site WordPress n’est pas un dépliant imprimé : c’est un logiciel qui tourne sur un serveur,
assemblé à partir du cœur WordPress, d’un thème et d’extensions — chacun mis à jour régulièrement par
ses développeurs. Or l’écosystème bouge vite, et pas toujours dans le bon sens :
- →11 334 nouvelles vulnérabilités ont été recensées dans l’écosystème WordPress en 2025 — un record, en hausse de 42 % sur un an (Patchstack).
- →91 % de ces failles concernent les extensions (9 % les thèmes) : le cœur WordPress lui-même est très sûr, ce sont les plugins qui ouvrent la porte.
- →La moitié des failles à fort impact sont exploitées dans les 24 heures suivant leur divulgation — les plus recherchées le sont en 5 heures.
- →95 % des attaques sont automatisées : des robots scannent le web en continu à la recherche de sites non mis à jour. Un « petit site » n’est pas épargné, il est juste plus facile.
La maintenance, c’est l’activité qui neutralise ce risque en continu — et qui, accessoirement,
garde le site rapide, sauvegardé et fonctionnel.
Le périmètre complet : les 6 piliers
1. Les mises à jour (cœur, extensions, thème, PHP)
Le pilier central — mais pas en cliquant « tout mettre à jour » les yeux fermés. Une
mise à jour sérieuse suit un protocole : sauvegarde préalable, mise à jour,
vérification que le site fonctionne (pages clés, formulaires, tunnel de commande), retour arrière si
besoin. Les correctifs de sécurité s’appliquent vite (24-48 h) ; les mises à jour majeures
peuvent attendre quelques jours de recul. S’y ajoute la version de PHP du serveur,
qu’il faut faire évoluer sans casser la compatibilité des extensions.
2. Les sauvegardes — la vraie assurance-vie
La règle de référence est le 3-2-1 : 3 copies, sur 2 supports, dont 1 hors
du serveur du site. Point crucial que beaucoup découvrent trop tard : une sauvegarde stockée sur
le même serveur que le site disparaît avec lui, et une sauvegarde jamais testée est une
hypothèse, pas une garantie. Une bonne maintenance inclut des tests de restauration.
3. La sécurité
Pare-feu applicatif, scans anti-malware réguliers, durcissement des accès (2FA, limitation des
tentatives de connexion), veille sur les failles des extensions installées. Détail qui compte :
selon Patchstack, 46 % des vulnérabilités n’ont pas de correctif au moment de leur
divulgation — d’où l’intérêt d’une veille humaine capable de désactiver ou remplacer une
extension à risque sans attendre le patch.
4. La surveillance
Un site peut tomber à 3 h du matin : un monitoring d’uptime alerte immédiatement, plutôt
que de laisser un client vous l’apprendre. On surveille aussi le certificat SSL et l’expiration du
nom de domaine — deux grands classiques de la panne évitable.
5. La performance
Cache, nettoyage de la base de données (révisions, transients, spam de commentaires), optimisation
des images. Un site s’encrasse comme un moteur : sans entretien, il ralentit — et la lenteur
coûte du référencement et des conversions.
6. Le support et le reporting
Petites corrections, réponses à vos questions, et — signe d’un prestataire sérieux — un
rapport mensuel qui liste ce qui a été fait : mises à jour appliquées,
sauvegardes vérifiées, incidents traités. Si vous ne recevez rien, vous ne savez pas ce que vous
payez.
À quelle fréquence ?
| Tâche | Fréquence recommandée |
|---|---|
| Sauvegarde | Quotidienne (e-commerce) à hebdomadaire (vitrine) |
| Mises à jour de sécurité | Sous 24-48 h après publication |
| Mises à jour classiques | Hebdomadaires à bimensuelles, avec vérification |
| Scan sécurité | Quotidien (automatique) + contrôle humain régulier |
| Surveillance uptime / SSL | En continu, 24/7 |
| Nettoyage base de données, optimisation | Mensuel |
| Test de restauration de sauvegarde | Trimestriel |
Combien ça coûte sur le marché ?
Les fourchettes constatées en France en 2026 :
| Formule | Tarif marché constaté | Pour qui |
|---|---|---|
| Outils automatisés seuls | moins de 20 €/mois | Aucun humain derrière : pratique tant que rien ne casse |
| Freelance | 25 à 80 €/mois | Site vitrine simple, relation directe |
| Agence spécialisée | 70 à 300 €/mois | Site professionnel, engagement de réactivité |
| E-commerce / site critique | 80 à 500 €/mois et plus | WooCommerce, fort trafic, enjeu de chiffre d’affaires |
Ce qui justifie l’écart : le temps humain. Sous 20 €/mois, vous payez un robot qui clique « mettre à jour » — personne ne vérifie que le site fonctionne encore, personne ne répond quand ça casse un vendredi soir. Le vrai critère de comparaison n’est pas le prix, mais : qui décroche, en combien de temps, quand le site est en panne ?
Peut-on s’en passer ?
Techniquement oui, comme on peut ne jamais réviser sa voiture. Concrètement, un site sans
maintenance accumule les retards de mise à jour — et en France, plus de 60 % des sites
WordPress de PME contiennent au moins une extension obsolète avec une faille publiquement
connue. Quand l’incident survient, le coût moyen se chiffre entre
15 000 et 85 000 € selon les rapports ANSSI/CERT-FR — à comparer au
prix d’un an de maintenance. La question n’est donc pas « est-ce que ça vaut le coût »,
mais « qui doit s’en charger » : vous, votre hébergeur, un freelance ou une
agence ? Nous avons détaillé ce choix dans
notre comparatif des 3
options.
🔧 Votre site n’est pas maintenu aujourd’hui ? EVICO prend en charge mises à jour, sauvegardes, sécurité et surveillance de votre site : découvrez notre maintenance WordPress — audit initial offert. Ou contactez-nous directement.
Sources : Patchstack, State of WordPress Security in 2026 (11 334 vulnérabilités,
91 % dans les extensions, exploitation <24 h, 46 % sans correctif) ; rapports
ANSSI / CERT-FR 2025 (coût moyen d’incident) ; relevés de tarifs de maintenance WordPress du
marché français 2026.
